相次ぐ脆弱性と現場の対応
こんにちは、シニアソフトエンジニアのリドルです。 このポッドキャストは、IT業界のいろんな話やリアルをお届けします。
今回は、最近のセキュリティめっちゃ大変っていう話をしようと思います。 はい、今は2026年の10月の25日ぐらいでしょうか。
最近ですね、大きなセキュリティの事故がいくつもありますよね。 特に脆弱性として話題になっているのは、PHPの脆弱性で、
PHP2シェルってやつだったり、インドの方の証明書発行会社が、 証明書の秘密鍵がすごい弱いものになっていて、ダイソードみたいなものだったり、
その後に出てきたHTTPの暗号化…じゃないか、ごめんなさい。 圧縮系の方式に脆弱性があって、それを使っているところだと、
HTTP2シェルという形で、リモートでコールされちゃいますよ、みたいな脆弱性がありましたし、 ノードとかPHPとか、パイソンとか、Goとか、いろいろ影響を受けたものはありますと。
こういうの氷山の一角で、実際はもっといろいろあると思うんですけれども、 みなさんお疲れ様です、というような感じです。
ご多分に漏れず、私も職場というか仕事柄、ITエンジニアなので、 被害は被っていて、被害というか対応ですね。
何かしらセキュリティのインシデントがあったりすると、うちは大丈夫なのかとか、 言われなかったとしても、こっちから進んでパッチ当てるとか、対応するとかっていうのは、どうしても職業から必要だったりとか、
そういうのもありますので、自分をはじめですね、周りの方だったり、 エンジニア、ソフトウェアエンジニアとかインフラ系やったりする皆様は、もう本当お疲れ様です、という感じです。
このポッドキャストを聞いてくれている年齢層の幅がちょっとわかんないですが、 多くは同じぐらいの年齢の方かなと思うんですけれども、
これからエンジニアになるよと目指している方はですね、 セキュリティっていうのはあんまりこう、自分ごとじゃない。
まあ自分の個人情報が漏洩したとか、自分のアカウントが侵害されたっていうのはすごいセンシティブな話だと思いますが、
更新できない環境とパッチ適用の難しさ
いわゆる使っているOSSの褶作性とかっていうのも、今後この業界に入ってくると非常にこう身近になってきますので、
それと日夜格闘している人はどんな気持ちなんだろうというのを、ずっと知るきっかけとなってもらえればなと思っています。
でまあきっかけって言ってもね、昔これこんなに多くなかったんですよね。 確かに昔もGCCとかでなんか褶作性ありますとか、
CPUのところでメルトダウンっていうなんか凄まじいやつありますとか、 TLSでもハートブレイクみたいな、だったかな?
すごいとんでもないやつありますっていうのは、たびたび話題になるんですけど、言うてね、頻度がめっちゃ空いてるんですよ。年単位で空いてるんですよ大体ね。
やばいのがバンバンバンって見つかる時もあるんですけど、それにしても結構空いてるんです。
そうなると今ほどAIってももちろんないですし、攻撃がね仮に露見したとしても、そのゼロデイをベースに公開された褶作性から、
それの使った攻撃のスクリプトを作るっていうのも高度な話なので、それができる人そんなに世の中にいっぱいいないでしょってなってくると、
まあ確かにCVスコアとかすごい高いけど、あごめんなさい、CVSSとか高いけど、そんなになんかね、めっちゃすぐ攻撃されるみたいな感覚はないわけですよ。
もちろんやるんですけどね。お客さんからお金もらって対策するみたいなことSIR時代はよくやってましたし、
自分たちのプロダクトの中でもパッチ当てるっていうのやってたんですけど、やっぱりほんと最近ね、ちょっとした脆弱性でもすぐそれ使った攻撃っていうの作れるんで、
こっち側もすぐにパッチ当てないといけないんですよね。でパッチ当てるってことは挙動が変わる可能性もあるので、その挙動が変わらないよねっていうテストもしないといけないし、
何だったらそういうの提供されるパッチって、現行の最新版だったりロングタームリリースみたいな長期でこのバージョンは運用しますよっていうOSS側が歌ってくれてるものしかパッチを公開してくれなかったりもする
ので、
じゃあそのバージョンまで上げれたりとかそのバージョンで維持できてるっていうところになってる環境ってそう多くはないんですよね。
どうしても会社によっては予算がないから塩漬けしちゃって、バージョンはこの古いままで行きましょうとか。
あとは古い広報互換性のない機能を使っていて、それをバージョンアップするためには追加のお金が必要だから、そこのあるからちょっとそれは予算的に来期に回そうかな。
じゃあその時にバージョンアップも得ろうみたいな経営判断というか、プロダクトの判断とかしてると、じゃあ当てられないねってなっちゃいますし。
まあ本当にプロダクトによってそれぞれなんですよね。なので皆さんがちょっとよく見かけるですね、キラキラとしたっていうとあれですけど、
結構ウェブ企業系だと本当に毎日のようにパッチアテリリースしてっていうのができてるところばかりではないので、そういうところだったとしても今回のPHPとかだとね、
先にメンテナンス入れておいて、パッチ公開の前に攻撃手法がばら撒かれちゃったから、
先にメンテ入れてパッチ出たら対応して、でその後リリースみたいなことをやってらっしゃる企業もありましたけど、
その判断をねできるPMとかプロデューサーとか、事業責任者とか社長とかも素晴らしいと思います。
私の知り合いもね、本当12時から仕事してパッチ当ててっていうのを夜間やって、
でリリース翌朝するみたいなことやってる人もいましたし、本当にセキュリティのやつ、セキュリティ会社はもしかしたら儲かって嬉しいのかもしれないですけど、
ちょっとね対応する人の数も多すぎるし、なんかこう全体的に被害がでかいですよね、本当に。
AI時代の攻撃と多層防御
いやー、今後こういうセキュリティの攻撃というか脆弱線路露見みたいなのって減らないとは思うんですよね。
AIの性能がどんどん上がっていって、確かにOSSとかアモル側もAIを使うっていうのはあると思うんですけど、
日々の開発の中で皆さんもAI使って開発することもあると思うんですけど、
例えばですけど常に一番高いモードでコード生成しまくる人ってほとんどいないと思うんですよね。
ちょっとした機能を作るときに、速度ベースだったりだとか、トークン消費量みたいなことを考えると、
廉価なモデルを使ったりとか、早く作れる、まあライトウェイトっていうか、まあ早くできる、ちょっと一世代前のものを使ったりすると思うんですけど、
でも一方で攻撃者はフロンティアモデルとかね、一番こう深くまで考えてくれるような、昔でいうリーズニングみたいな、
シンキングみたいなもので、ずーっと攻撃をいろいろ展開してみたいなことやりますし、
なんかこの前見たオープンAIのブログかなんかだと、AIエージェントが、なんだったかな、本来は通信できないはずの、
なんだろう、プロセスなのかマシンなのかわかんないですけど、で通信をするために、なんかCPUの揺らぎだか、
なんか、なんか周波数だかなんかわかんないですけど、そのあたりの揺らぎみたいなものを、うまくお互いに交換し合うことによって、
通信を実現することで、なんかクラッキングを行ったみたいな記事もあったりで、もう無理なんですよね。
原理上、こっちが作る時に相手レベルの考えをベースにコードを作るって、ってことは、作る時に使うAIよりも、破る時に使うAIの方が、
頭いいものを使うことを考えると、まあもうなんか無理ゲーで、ってなると一発で破られないようにするために、
いわゆる多層防御的なことを、まあ今も昔も言われてますけど、丁寧にやっていくっていうのが、どうしても今、こちらが取れる、
まあ事前策にはならざるを得ないですね。で、多層防御もね、結局なんかいろんな方法あるんですけど、
じゃあそれ全部やんのかみたいな話もあるじゃないですか。我々って、まあ我々って言ってもあれですけど、
実際にそこの職場で働くね、ワーカーとしてのエンジニアの人たちが対応するわけで、じゃあセキュリティの製品入れましょうってなった時に、
じゃあこれも入れて、あれも入れてってなった時に、ちゃんとそれ説明できますか?みたいな。それ入れるとどのくらい防げるんでしたっけ?みたいなことを都度説明しないといけないですし、
セキュリティ人材と個人情報の扱い
じゃあそれ入れて、ね、破られたらどうするの?とか、じゃあそれ入れるにしてもいろんな製品あるけど、どれ入れんの?それのことね、ちゃんと考えて喋れて上を納得して、
効果測定してみたいなことをやれる人材って結構いるんだっけ?みたいな。うん、難しいよね?みたいな。で、入れたら入れたで終わりじゃなくて、定期的に見て回ったりとか、
調整したりとか、なんか検知した時にちゃんと対応するチーム作ったりとか、まあいろいろありますから、
まあセキュリティ人材、昔も今も足りない足りないって言ってますけど、今後はね、もっと重要高くなるんじゃないかなとは思いますが、
なんかAIでバシバシ作ったものに対してセキュリティ担保してよって言われた仕事をね、丸ごと振られるっていうロールはちょっときついですよね。
これは別にどこの会社であったとしても。っていうのが、まあちょっとなんか最近セキュリティきついよねって言われている業界にいる人間から見た、
まあなんとなくの図ですね。そうなってくるとやっぱり個人情報を可能な限り集めないっていうのが、
まあちょっとなんかビジネス上というか、セキュリティ行為を受けた時のリスクを少なくする上では、まあ有効だなと思いますが、やっぱりこう日常にクリティカルなサービスを作ろうと思うと、
個人情報ってまあどうしても必要になるものですし、例えばAmazonでね、めっちゃ便利ですけど、
案の住所も名前も入れなかったらね、どうやって届けるんだって話ですし、まあ近くのコンビニに届けるっていう案はありますけど、
まあそれでもねお金扱う以上、クレカとか何かしらの振り込み方法みたいなものは気もつけ必須ですし、
脆弱性情報が続く業界の実感
うん、オンライン決済とかね、ないと不便すぎるからね。いやー怖いですね。まあなので、まあそういった感じでですね、現在のIT業界は非常に
セキュリティというものに対して温度感が高くてですね、 開発者および運用者および、まあプロダクトのチームの皆さんは
先々恐々しているというような感じです。もうほんとX見たらね、毎日脆弱性情報出てるんで、ほんとねつらいです。
はい、ということで今回は最近のIT業界におけるセキュリティ関連の見え方というか、まあ気持ちというか、そういうのを喋りました。
このポッドキャストはハッシュタグリルITで皆様からの感想やコメント募集しております。
またチャンネルの概要欄にありますGoogleフォームのリンクからもご投稿可能です。ありがとうございました。
